Für die deutsche Finanzaufsicht ist die digitale Widerstandsfähigkeit kein Nebenschauplatz mehr. In ihrem Bericht “Risiken im Fokus 2026” führt die BaFin Cyber-Vorfälle mit gravierenden Auswirkungen als eigenes Fokusrisiko, gleichrangig neben Kredit- und Zinsrisiken. Der Grund liegt in den Zahlen: Zwischen dem ersten und dritten Quartal 2025 gingen bei der Aufsicht 525 Meldungen über schwerwiegende IKT-Vorfälle ein. Die Bedrohungslage bleibt angespannt, getrieben von geopolitischen Spannungen, immer komplexeren IT-Landschaften und dem wachsenden Einsatz künstlicher Intelligenz auf beiden Seiten der Frontlinie.
DORA macht die BaFin zum Melde-Hub
Seit dem 17. Januar 2025 gilt die EU-Verordnung über die digitale operationale Resilienz (Digital Operational Resilience Act, DORA) unmittelbar. Sie verpflichtet nahezu alle beaufsichtigten Finanzunternehmen und macht die BaFin zum zentralen Melde-Hub für schwerwiegende Vorfälle der Informations- und Kommunikationstechnologie. Die Aufsicht sammelt die Meldungen, wertet sie aus und leitet sie an BSI, Bundesbank, EZB und die europäischen Aufsichtsbehörden weiter.
DORA ruht auf sechs Säulen: dem IKT-Risikomanagement (Art. 5 bis 16), der Behandlung und Meldung von IKT-Vorfällen (Art. 17 bis 23), dem Testen der digitalen Resilienz samt Threat-Led Penetration Testing (Art. 24 bis 27), dem Management von IKT-Drittparteienrisiken samt Informationsregister (Art. 28 bis 30), dem Überwachungsrahmen für kritische IKT-Drittdienstleister (Art. 31 bis 44) sowie dem Informationsaustausch und Krisenübungen. Die Regeln sind in Kraft, doch die BaFin verschiebt den Fokus sichtbar von der Umsetzung zur Durchsetzung.
Wo die Angriffe herkommen
Die Meldedaten zeichnen ein klares Bild. Mit 70 Prozent stammt der Löwenanteil der 525 Vorfälle von Kreditinstituten (366 Meldungen), gefolgt von E-Geld- und Zahlungsinstituten (70) sowie Versicherern (47). Häufigste Angriffsart war mit 31,1 Prozent das Phishing, auf Schadsoftware und Hacking entfielen 24,4 Prozent, hinzu kommen DDoS-Attacken und Ransomware.
Besonders aufschlussreich ist die Herkunft der Angriffe: 31 Prozent aller gemeldeten Attacken ereigneten sich 2025 nicht beim Finanzunternehmen selbst, sondern bei einem seiner Dienstleister. Als wichtigste Bedrohungsquelle nennen die Institute die organisierte Kriminalität, an zweiter Stelle folgen staatliche Akteure. Nicht jeder Ausfall geht auf einen Angriff zurück: Viele Störungen entstehen schlicht durch fehlerhafte Updates oder Probleme im Change-Prozess. Genau deshalb zielt DORA auf das gesamte Risikomanagement, nicht allein auf die Abwehr von Hackern.
Der Ernstfalltest kommt
Das schärfste Instrument im DORA-Werkzeugkasten ist das Threat-Led Penetration Testing (TLPT). Systemrelevante Häuser müssen ihre Produktivsysteme mindestens alle drei Jahre einem bedrohungsgeführten Angriffstest unterziehen, bei dem ein Red Team reale Angreifer simuliert. Ein solcher Test dauert allein in der aktiven Phase mindestens zwölf Wochen, der gesamte Zyklus von der Rahmensetzung bis zum Abschluss sechs bis zwölf Monate. Betroffen sind unter anderem global und anderweitig systemrelevante Institute, Häuser mit mehr als 150 Milliarden Euro Zahlungsvolumen in den vergangenen zwei Jahren sowie zentrale Gegenparteien und Zentralverwahrer. Die BaFin ist zuständige Aufsichtsbehörde, die Bundesbank übernimmt die operative Begleitung. Die ersten Benachrichtigungen der betroffenen Institute laufen 2026.
KI wird zum IT-Risiko erklärt
Die aufschlussreichste Verschiebung betrifft die künstliche Intelligenz. Am 18. Dezember 2025 veröffentlichte die BaFin eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI-Systemen. Die Kernaussage ist bewusst nüchtern: Die Aufsicht definiert KI-Systeme technisch als Netzwerk- und Informationssysteme und ordnet sie damit als reguläre IKT-Assets im Sinne der DORA ein. KI ist damit kein Sonderfall, sondern fällt unter das bestehende Resilienz-Regime.
Für die Institute hat das handfeste Folgen. Wo KI-Systeme kritische oder wichtige Funktionen stützen, erwartet die Aufsicht eine eigene KI-Strategie, klare Governance-Strukturen und eindeutig zugeordnete Verantwortlichkeiten. Weil die meisten Häuser ihre Modelle über Cloud und Schnittstellen beziehen, wird das Drittparteienrisikomanagement zum kritischen Engpass, inklusive belastbarer Ausstiegsstrategien für große Sprachmodelle. Die BaFin stellt zugleich klar, dass Unkenntnis über die Funktionsweise eines eingesetzten Modells die Geschäftsleitung nicht vor den Pflichten aus Art. 5 DORA schützt. KI taugt überdies selbst als Angriffsvektor: Der Risikobericht nennt Data Poisoning sowie Privacy- und Evasion-Angriffe auf maschinelle Lernmodelle als neue Bedrohungen.
Vom Regelwerk zur Durchsetzung
Die Botschaft an den Finanzplatz ist eindeutig. Die Übergangsphase, in der DORA vor allem als Compliance-Projekt galt, endet. 2026 wird das Jahr, in dem die BaFin die aufgebauten Meldewege, Testregime und KI-Leitplanken aktiv prüft. Für kleinere Institute greift ab dem 1. Januar 2027 ein vereinfachter Rahmen, doch die Grundlogik bleibt: Wer digitale Dienste anbietet, muss deren Ausfall genauso beherrschen wie klassische Bilanzrisiken. Die 525 Meldungen der ersten drei Quartale sind aus Sicht der Aufsicht kein Ausreißer, sondern die neue Normalität, auf die sich Banken und Versicherer einstellen müssen.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.